Аудит информационной безопасности

Описание

Аудит информационной безопасности (ИБ) предназначен для оценки состояния системы информационной безопасности, определяет уровень ее соответствия определенным критериям, и предоставляет результаты в виде рекомендаций.

Аудит позволяет:

• Оценить защищенности информационной системы
• Локализовать имеющиеся угрозы
• Определить шаги для создания эффективной системы ИБ

Выполнение проекта

Выполнение проекта аудита безопасности состоит из следующих этапов:

• Постановка задачи и уточнение границ работ Осуществляется сбор исходных данных, их предварительный анализ, а также организационные мероприятия по подготовке проведения аудита.
  Этап постановки задачи завершается разработкой, согласованием и утверждением технического задания (ТЗ).
• Сбор и анализ информации
  Собирается информация и дается оценка организационных мер в области информационной безопасности и программно-технических средств защиты информации.
  После получения исходных данных готовится отчет об обследовании. Отчет об обследовании является основой для последующих этапов аудита: анализа рисков и разработки рекомендаций.
• Проведение анализа рисков
  Анализ рисков проводится для оценки угроз нарушения информационной безопасности и разработки рекомендаций.
  При анализе рисков осуществляется: классификация информационных ресурсов, анализ уязвимостей, составление модели потенциального злоумышленника, оценка рисков нарушения информационной безопасности.
• Разработка рекомендаций
  На основании полученной информации, разрабатываются рекомендации по совершенствованию системы защиты информации. Итоговый отчет, содержащий оценку текущего уровня безопасности ИТ-инфраструктуры, информацию об обнаруженных проблемах, анализ соответствующих рисков и рекомендации по их устранению.
  

Результат

Результатом аудита безопасности является аудиторский отчет, который содержит:

• Оценку текущего уровня защищенности информационной системы
• Рекомендации по технической составляющей информационной безопасности
• Рекомендации по организационной составляющей информационной безопасности